剖析电力调度安全监管

1整体防护方案。电力调度信息系统的应用业务的整体防护，充分考虑各种应用业务的特点，充分发挥安全隔离装置的作用，从各个层面对应用系统实施全方位的保护。

1.1调度信息系统各应用业务系统安全区的划分

电力调度信息系统所有应用业务必须分置于四个安全区。安全区i：目前已有或将来要上的有控制功能的系统，以及实时性要求很高的系统。目前主要包括实时闭环控制的scada／ems系统、自动发电控铝ij（agc）系统和安全自动控制系统，保护设置工作站（具有改定值、远方投退等功能）；安全区Ⅱ：没有实时控制业务但需要通过调度专用通信网（spdnet）进行远方通信的准实时业务系统。目前包括水调自动化系统、调度员培训系统（dts）、电力交易系统、电能量计量系统（tmr）、考核系统、继保及故录管理系统（不具备改定值、远方投退功能）等；安全区Ⅲ：通过电力调度数据网（sptnet）进行远方通信的调度生产管理系统。目前包括雷电监测系统、气象信息、日报／早报、调度mis（dmis）等；安全区Ⅳ：包括办公自动化（oa）、电子邮件系统和管理信息系统（mis）等。

1.2调度信息系统安全防护的具体要求

根据电力调度通信局调度信息系统安全防护要求，除了要满足电力系统二次系统安全防护策略以外，还需满足以下具体要求：①安全区i、安全区Ⅱ必须建立一套统一的入侵检测系统（ids），在安全区i和安全区ii的横向及纵向边界各安装1个探头（共4个），两个安全区内原则上不再安装ids探头；②安全区Ⅲ要求单独建立一套ids系统，ids探头安装在网络的关键边界。系统的对内对外通信应该通过网关，建议对内通信网关与对外通信网关分离（对内通信：指本级调度中心内相关系统的通信；对外通信：指同安全区内的系统上下级间的远程通信），网络边界必须明晰；③对安全区i的特定要求：安全区i的ems上下级外部边界的通信中，网络方式通信均经由电力调度数据网（spdnet）中的qos（服务质量）等级最高的实时vpn（虚拟专用网络），传统远动专用通道的通信，重要厂站可以进行线路加密，一般厂站目前暂不考虑安全问题，加紧研究低成本线路安全设施，逐步进行改造；④对安全区Ⅱ的特定要求：安全区Ⅱ允许在本区内开通同一业务系统上下级（即纵向）问的安全web服务。但只允许本安全区内的系统向安全web服务器单向传送数据，数据传递由专用隔离装置完成。禁止安全web服务器向业务系统请求数据的操作；安全web浏览工作站与Ⅱ区业务系统工作站不得共用。